Oracle JD Edwards EnterpriseOne Tools: Authentifizierungsumgehung in Installation Security
Zusammenfassung
Oracle JD Edwards EnterpriseOne Tools in den Versionen 9.2.0.0 bis 9.2.26.5 ist von einer Schwachstelle in der Komponente Installation Security betroffen. Ein nicht authentifizierter Angreifer mit Netzwerkzugriff über HTTPS kann das Produkt kompromittieren, was unautorisiertes Erstellen, Ändern oder Löschen von Daten sowie Zugriff auf die über EnterpriseOne Tools erreichbaren Daten ermöglichen kann. Der CVSS-3.1-Basiswert beträgt 9.1 (kritisch), und für den Angriff sind weder Berechtigungen noch eine Benutzerinteraktion erforderlich.
Betroffen
- Oracle JD Edwards EnterpriseOne Tools 9.2.0.0 bis 9.2.26.5 (gemäss CVE-Eintrag)
Behoben in
- Unbekannt. Korrekturen werden im Critical Patch Update (CPU) vom Oktober 2026 ausgeliefert. Die genaue Patch-Nummer und die korrigierte Version wurden nicht bestätigt; die Risikomatrix in Oracles Advisory für diese CVE prüfen.
Umgehung
- Keine Workaround des Herstellers gefunden.
- Übergangsweise (nicht vom Hersteller): Netzwerkzugriff auf die HTTPS-Endpunkte von EnterpriseOne Tools einschränken und den Zugriff auf Installations- und Administrationspfade begrenzen, bis ein Patch eingespielt ist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Nicht im CISA-KEV-Katalog; EPSS unter 1%.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle EnterpriseOne-Tools-Installationen und ihre genauen Versionen erfassen.
- Prüfen, ob eine Instanz aus dem Internet erreichbar ist; falls ja, hohe Priorität.
- Den Patch aus dem CPU vom Oktober 2026 für CVE-2026-91305 nach Tests anhand der Angaben im Oracle-Advisory einspielen.
- Bis zum Patch den Netzwerkzugriff auf die betroffenen Endpunkte einschränken und Webprotokolle auf unerwartete Anfragen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Oracle CPU advisory, October 2026 www.oracle.com
- Oracle CVE-to-advisory map www.oracle.com
- NVD record via Vulners vulners.com
- CISA SSVC and EPSS via OpenCVE app.opencve.io
- Strix CVE summary www.strix.ai
- Tenable October 2026 CPU overview www.tenable.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 05:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.